[techninja]

#csiwykop #cyberbezpieczenstwo #niebezpiecznik #rodo

https://wykop.pl/wpis/80217029/witam-jesli-braliscie-kredyt-hippoteczny-sprawdzci#279461895 w tym wpisie widzimy portal który już od 2007 roku ( https://niebezpiecznik.pl/post/tysiace-skanow-dokumentow-z-danymi-polakow-sa-publicznie-dostepne-dowody-prawa-jazdy-umowy/ ) jest znany z agregowania od często zapewne nie do końca świadomych użytkowników i udostępniania każdego z tych plików publicznie. Oprócz danych medycznych, bankowych, umów, wyciągów znajdują się tam przede wszystkim ogromne zasoby danych osobowych. Od 2017 roku (https://niebezpiecznik.pl/post/tysiace-skanow-dokumentow-z-danymi-polakow-sa-publicznie-dostepne-dowody-prawa-jazdy-umowy/ ) nie udało się skutecznie usunąć problemu, historia zatoczyła koło dziś.

Wg Niebezpiecznika ( https://x.com/niebezpiecznik/status/1891437348627329147 ) winowajcą jest funkcja udzielania portalowi dostępu za pomocą OAUTH do swojego dysku Google. Portal w jakiś sposób miałby pobierać wszystkie pliki bo po zgodzie usera ma dostęp do wszystkich plików na dysku Google - lub użytkownik nie do końca świadomie zbyt łatwo je tam wrzuca - nie znalazłem dowodów na te rewelacje ale brzmi jak dobry trop.

Kto stoi za tym portalem? Otóż spółka założona z kapitałem 5k z siedzibą w biurze wirtualnym. Co ciekawe podpisy obu wspólników spółki zdają się interesująco ewoluować z roku na rok...

PBR Sp. zo.o. Ul. Złota 61/100 00-819 Warszawa, PL NIP 5272754862 KRS 0000929154

Zyski nie wydają się duże, zdarzały się lata ze stratami. Źródło: https://ekrs.ms.gov.pl/rdf/pd/search_df

Czym zajmuje się ten portal? jakie ma model biznesowy? czy ta działalność ma jakieś mało oczywiste cele? Dlaczego przez tyle lat nie zabezpieczył użytkowników przed ujawnianiem danych? Co dokładnie jest źródłem danych? Z czego ma przychody?

Jest wiele innych domen zarejestrowanych na ten podmiot, z tych najbardziej oczywistych w nieegzotycznych TLD:
doceris.com
Proponuję śledztwo bo sprawa wygląda co najmniej interesująco...

[krzysztof48]

@techninja W moim odczuciu to Docer nie jest tu głównym winowajcom. To co było pisane przez Niebezpiecznik nie pokrywa się z moim wewnętrznym śledztwem.

Pierwsze co zrobiłem to sprawdziłem czy mam jakąś aplikacje od Docer i się okazało że nie mam.
Kolejną rzeczą skontaktowałem się z inną pokrzywdzoną w celu sprawdzenia czy jest z mojego miasta czy mięliśmy wspólnego radcę kredytowego. Jednak nic nie pasowało.

Kolejną rzeczą było poinformowanie wyspecjalizowane organy ścigania

[BreathDeath]

@krzysztof48: Ale to przecież może być po stronie doradcy.

1. Chcesz wziąć kredyt i idziesz do doradcy
2. Doradca prosi Cię o dokumenty, przesyłasz je, a on wrzuca na dysk google.
3. Docer zbiera dane z dysku Google i udostępnia publicznie.

Nie ma zbyt wielkiej filozofii.

[techninja]

@BreathDeath: może, rozumiem że trop stąd że stronka takie możliwości daje, trzeba przetestować tę ścieżkę czy domyślnie uprawnienie do całego Dysku...

[techninja]

@krzysztof48: mają pewnie zgody OAUTH do wielu dysków google. Pytanie czy ich nie nadużywają, dwa po czymś takim należałby się przegląd i wizyta UODO ...

[blargotron]

Nie używałem nigdy OAuth2 aby udostępnić storage na koncie google. To serio tak działa, że token pozwala sobie całą zawartość ściągać? A komunikat potwierdzający o tym informuje? Jeżeli jakiś doradca trzyma sobie na takim cloud dane wrażliwe i beż żadnego szyfrowania, czy je udostępnił czy nie innej stronie, to niezły jełop i powinni mu z d zrobić jesień średniowiecza. Przecież to jest jakiś absurd.

[techninja]

@blargotron: tak, przetestuj sobie na docerze. Na onedrive jest dość duża granulacja - w Google niekoniecznie.

[blargotron]

@techninja: Jeżeli tak, to p------e.

[techninja]

@blargotron: jak konto Google masz zarządzane to admin może uniemożliwić wydawania zgód na pewne usługi i uprawnienia. Jak to konto personalne - nie. User widzi zakres jak rozwinie picker ale większość nawet tego nie dotycza. Pytanie tylko czy docer faktycznie requestuje standardowo to uprawnienie a jeśli tak czy go nadużywa - pobiera więcej plików niż user wskazał.

[blargotron]

@techninja: Wina stoi po stronie resource serwera, że udostępnia większy zakres danych niż określony w tokenie, jeżeli tak robi. Nie można opierać się na jakiejś uprzejmości zewnętrznej usługi, to podważa całe bezpieczeństwo OAuth2.

[techninja]

@blargotron: nie, nie udostępnia więcej. Po prostu w Google nie masz granuralnego uprawnienia na foldery, pliki z tego co analizowałem. Dajesz często domyslnie dostęp do całego Dysku. W onedrive są granularne uprawnienia z tego co ustaliłem.